Klue 事件中黑客利用 2022 年试点项目的旧凭证入侵；这不是孤例。2026 年诺和诺德遭黑客 FulcrumSec 勒索 2500 万美元，同样利用「休眠访问凭据」持续渗透两月有余。两家公司都可能提前数年停用这些凭证却未执行，背后是同一类管理真空：试点/临时项目结束后凭证回收缺少 SOP，且集成环境权限往往过大。供应链攻击的突破口，常源于多年前一个忘记关的后门。

Klue 只是 2026 年第三方令牌泄露潮中的一环。黑客组织 ShinyHunters 同时期利用云分析商 Anodot 的身份令牌，横向渗透多家企业——快时尚 Zara 近 20 万用户信息、教育平台 Canvas 约 2.75 亿条记录相继被窃。攻击链高度一致：渗透不是直接攻破城墙，而是从 SaaS 集成后门「合法」登录。这揭示了一个行业级问题：传统安全架构假定「内部即安全」，但第三方 API 信任关系让这个假设彻底失效。

Klue 被窃的是用于第三方集成的 OAuth 令牌，这正是云时代最危险的攻击入口。2026 年 ShinyHunters 对 Anodot 的入侵同样是通过身份令牌「合法」穿透多家云平台。未来可预见的演变方向是：黑客将更多瞄准 SaaS 生态中的「网关型」供应商——一次拿下它等于批量拿到下游客户数据。对这类攻击目前尚无基于令牌行为基线的自动化回收机制，但已有一线安全团队开始部署令牌生命周期管理系统（实时轮换 + 异常检测），窗口期或在未来 12 个月内。

Klue 的 2022 年旧凭证为何没在试点结束后自动注销？真正值得追问的不是「谁犯了错」，而是——企业的凭证管理通常按入职/离职生命周期设计，但「临时项目」「限时合作」「第三方集成试点」这类场景的凭证，往往游离在回收流程之外。给凭证加自动过期策略、设立项目关闭后的回收审计清单，都已有成熟方案却未被采纳。问题核心：是缺少技术工具，还是缺少执行问责？